Laravel手动实现Auth::logoutOtherDevices是否存在安全风险？

一、手动实现方式的安全风险与代码问题 #

安全风险 #

• 缺少身份校验：Auth::logoutOtherDevices要求输入当前密码，核心是确认操作是账号本人发起的。你的代码直接跳过这一步，只要能拿到当前用户的会话（比如遭遇会话劫持），攻击者就能随意踢掉其他设备的登录，存在明显的越权风险。
• 会话清理不彻底：单纯删除会话表记录，无法触发Laravel内置的会话生命周期钩子（比如自定义的会话销毁逻辑），可能留下残留的关联数据。

代码错误 #

• 字段匹配错误：Laravel默认数据库会话表中，存储会话ID的字段是session_id，而非模型的自增主键id。你代码里用whereNotIn('id', [$session->getId()])的条件完全不匹配，要么删不掉其他会话，甚至可能误删当前会话，导致自己也被退出。

二、Auth::logoutOtherDevices的完整执行逻辑 #

它远不止删除会话表记录，是一套双重安全机制：

1. 密码验证：首先校验传入的当前密码是否正确，确保操作是账号所有者发起，避免恶意操作。
2. 重置密码哈希：验证通过后，会重新生成用户的密码哈希（哪怕密码本身没改）。Laravel每个会话都会存储用户密码哈希，后续请求会对比数据库中的哈希与会话中的哈希，不一致就强制退出，这一步从根源让其他设备的会话失效。
3. 清理会话记录：最后才会删除数据库中当前用户的其他会话记录，彻底清理无效会话。

内容的提问来源于stack exchange，提问作者none